关于程序运行过程中数据文件读取的控制 ( 积分: 100 )

tuorx · 2005-08-19

现小弟正在研究一种方法，不知道那位大哥有这方面的经验，请多多指教。  大概需求如下：  目前有一个应用程序，附带了多种类型的静态数据文件，如：DOC、SWF、BMP、JPG格式等， 程序每次只调用一个数据文件，我现在怎么能做一个监视程序，用于监控这个应用程序 在目前调用的是那个数据文件？如果应用程序调用到某一个我指定文件名的数据文件， 怎么能截获他的数据文件名的变量或地址，并把另一个数据文件名赋给这个变量或地址？ 意思也就是他调到我指定文件名的文件后，我可以控制应用程序去调用另一个数据文件； 就像DELPHI在调试状态下，可以对变量的值改变一样。 系统平台只考虑Windows 2000、Windows XP平台。  小弟的MAIL是tuorx1977@tom.com，如果那位大哥在这方面有心得或是有资料，请在此说明或 发MAIL给小弟，如果解决方案比较好，小弟有重谢。

tuorx · 2005-08-19

现小弟正在研究一种方法，不知道那位大哥有这方面的经验，请多多指教。  大概需求如下：  目前有一个应用程序，附带了多种类型的静态数据文件，如：DOC、SWF、BMP、JPG格式等， 程序每次只调用一个数据文件，我现在怎么能做一个监视程序，用于监控这个应用程序 在目前调用的是那个数据文件？如果应用程序调用到某一个我指定文件名的数据文件， 怎么能截获他的数据文件名的变量或地址，并把另一个数据文件名赋给这个变量或地址？ 意思也就是他调到我指定文件名的文件后，我可以控制应用程序去调用另一个数据文件； 就像DELPHI在调试状态下，可以对变量的值改变一样。 系统平台只考虑Windows 2000、Windows XP平台。  小弟的MAIL是tuorx1977@tom.com，如果那位大哥在这方面有心得或是有资料，请在此说明或 发MAIL给小弟，如果解决方案比较好，小弟有重谢。

kk2000 · 2005-08-19

没有这样的经验! 听听人家怎么做吧 .

smokingroom · 2005-08-19

使用API Hook技术吧，注入代码至目标进程，拦截CreateFileA函数即可。

tuorx · 2005-08-19

我对API HOOK技术不了解， 具体怎么做？有没有写好的例程？ 多谢了

chenybin · 2005-08-20

1、http://www.delphibbs.com/delphibbs/dispq.asp?LID=635375 用DELPHI编制钩子函数 Windows消息管理机构提供了能使应用程序访问控制消息流μ 'c4所谓的钩子(HOOK)机制。钩子有多种，分别用于捕获某一特定类型或某一范围的消息。如：键盘消息，鼠标消息等。我们这里仅以键盘钩子的使用为例，讨论在DELPHI下怎样编写DLL程序和怎样在自己的程序中安装使用键盘钩子函数，并讨论了不同程序使用同一DLL文件时怎样共享数据。 一、钩子过滤函数的编写说明 由于钩子过滤函数必须在独立的模块中，也就是说我们必须首先生成一个DLL框架，然后再在其中加入钩子函数代码以及其他相关函数代码。我们这里以键盘钩子过滤函数的编写为例来说明。具体步骤如下： 1、先生成一个DLL筐2架 2、编写自己的键盘钩子过滤函数 钩子过滤函数必须是回调函数，其函数的 4?稳缦拢o function KeyHookProc( iCode:Integer; wParam:WPARAM; lParam:LPARAM ) : LRESULT; stdcall ;export ; 在生成的DLL框架中加入自己的键盘钩子处理函数处理键盘消息。 代码如下：… if(iCode>=0) then begin Result:=0; //初始化返回值 // 在这里加入自己的代码 end else begin Result:=CallNextHook(hOldKeyHook iCode wParam lParam); // hOldKeyHook是保存的原键盘过滤函数 5刂· end; 3、安装键盘钩子过滤函数 为安装一个钩子筥fd滤函数应调用SetWindowsHookEx函数（适用于Windows3.0的SetWindowsHook钩子安装函数现在已经废弃不用）。该函数的原形如下： HHOOK SetWindowsHookEx( int idHook // 安装的筥b3子类型 HOOKPROC lpfn // 钩子过滤籂f数地址 HINSTANCE hMod // 任务句柄 DWORD dwThreadId // 钩子用于的目的 ); 需要说明的是：蚠a8常应该调用MakeProcInstance函数以获取一个输出函数的前导码的入口地址，再将此地址作为SetWindowsHookEx的第二个参数lpfn。但由于Delphi提供了"灵巧调用(smart callback)"，使得MakeProcInstance可以省去，而直接将钩子过滤函数名用作入口地址。 这样当应用程序觃c3GetMessage或PeekMessage函数从消息队列中读消息或有按键消息(WM_KEYDOWN或WM_KEYUP)要处理时，系统就要调用钩子过滤函数KeyHookProc处理键盘消息。 4、卸载钩子过滤函数。 当钩子函数不再需要时，应调用UnHookWindowsHookProc卸载安装的钩子以释放系统资源。 完整的程序清单如下?ba Library KEYHOOK; uses Windows; const BUFFER_SIZE=16*1024; const HOOK_MEM_FILENAME='SAMPLE KEY_HOOK_MEM_FILE'; const HOOK_MUTEX_NAME ='SAMPLE KEY_HOOK_MUTEX_NAME'; type TShared=record Keys : array[0..BUFFER_SIZE] of Char; KeyCount : Integer; end; PShared=^TShared; var MemFile HookMutex : THandle; hOldKeyHook : HHook; ProcSaveExit : Pointer; Shared : PShared; //键盘钩子过滤函数 function KeyHookProc(iCode: Integer; wParam: WPARAM ; lParam: LPARAM):LRESULT ; stdcall; export; const KeyPressMask = $80000000; begin if iCode < 0 then Result := CallNextHookEx(hOldKeyHook iCode wParam lParam) else begin if ((lParam and KeyPressMask)= 0) then // 键按下 begin Shared^.Keys[Shared^.KeyCount]:=Char(wParam and $00ff); Inc(Shared^.KeyCount); if Shared^.KeyCount>=BUFFER_SIZE-1 then Shared^.KeyCount:=0; end; iCode:=-1; Result := CallNextHookEx(hOldKeyHook iCode wParam lParam); end; end; // 设置钩子过滤函数 function EnableKeyHook : BOOL ; export; begin Shared^.KeyCount:=0; //初始化键盘指针 if hOldKeyHook=0 then begin hOldKeyHook := SetWindowsHookEx(WH_KEYBOARD KeyHookProc HInstance 0); end; Result := (hOldKeyHook <> 0); end; //撤消钩子过滤函数 function DisableKeyHook: BOOL ; export; begin if hOldKeyHook<> 0 then begin UnHookWindowsHookEx(hOldKeyHook); // 解除 Keyboard Hook hOldKeyHook:= 0; Shared^.KeyCount:=0; end; Result := (hOldKeyHook = 0); end; //取得键盘缓冲区中击键的个数 function GetKeyCount :Integer ; export; begin Result:=Shared^.KeyCount; end; //取得键盘缓冲区的键 function GetKey(index:Integer) : Char ; export; begin Result:=Shared^.Keys[index]; end; //清空键盘缓冲区 procedure ClearKeyString ; export; begin Shared^.KeyCount:=0; end; //DLL的退出处理过程 procedure KeyHookExit; far; begin if hOldKeyHook <> 0 then DisableKeyHook; UnMapViewOfFile(Shared); // 释放内存映象文件 CloseHandle(MemFile); // 关闭映象文件 ExitProc := ProcSaveExit; end; exports // 定义输出函数 EnableKeyHook DisableKeyHook GetKeyCount ClearKeyString GetKey; begin // DLL 初始化部分 HookMutex:=CreateMutex(nil True HOOK_MUTEX_NAME); // 通过建立内存映象文件以共享内存 MemFile:=OpenFileMapping(FILE_MAP_WRITE False HOOK_MEM_FILENAME); if MemFile=0 then MemFile:=CreateFileMapping($FFFFFFFF nil PAGE_READWRITE 0 SizeOf(TShared) HOOK_MEM_FILENAME); Shared:=MapViewOfFile(MemFile File_MAP_WRITE 0 0 0); ReleaseMutex(HookMutex); CloseHandle(HookMutex); ProcSaveExit := ExitProc; // 保存DLL的ExitProc ExitProc := @KeyHookExit; // 设置DLL新的ExitProc end. // 源代码结束 二、在自己的程序中使用编制好的键盘钩子过滤函数。 钩子函数编制好后，使用起来其实很简单：首先调用SetWindowsHookEx安装自己的钩子过滤函数，同时保存原先的钩子过滤函数地址。这时钩子函数就开始起作用了，它将按照你的要求处理键盘消息。程序运行完毕或不再需要监视键盘消息时，调用UnHookWindowsHookProc函数卸载所安装的钩子函数，同时恢复原来的钩子过滤函数地址。 下面就是使用在以上编制的钩子函数的例子： unit Unit1; interface uses Windows Messages SysUtils Classes Graphics Controls Forms Dialogs StdCtrls ExtCtrls; type TForm1 = class(TForm) Memo1: TMemo; Panel1: TPanel; bSetHook: TButton; bCancelHook: TButton; bReadKeys: TButton; bClearKeys: TButton; Panel2: TPanel; procedure bSetHookClick(Sender: TObject); procedure bCancelHookClick(Sender: TObject); procedure bReadKeysClick(Sender: TObject); procedure bClearKeysClick(Sender: TObject); end; var Form1: TForm1; implementation {$R *.DFM} function EnableKeyHook : BOOL ; external 'KEYHOOK.DLL'; function DisableKeyHook : BOOL ; external 'KEYHOOK.DLL'; function GetKeyCount : Integer ; external 'KEYHOOK.DLL'; function GetKey(idx:Integer) : Char ; external 'KEYHOOK.DLL'; procedure ClearKeyString ; external 'KEYHOOK.DLL'; procedure TForm1.bSetHookClick(Sender: TObject); // 设置键盘钩 7ó begin EnableKeyHook; bSetHook.Enabled :=False; bCancelHook.Enabled:=True; bReadKeys.Enabled :=True; bClearKeys.Enabled :=True; Panel2.Caption:=' 键盘钩子已经设置'; end; procedure TForm1.bCancelHookClick(Sender: TObject); // 卸载键盘钩子 begin DisableKeyHook; bSetHook.Enabled :=True; bCancelHook.Enabled:=False; bReadKeys.Enabled :=False; bClearKeys.Enabled :=False; Panel2.Caption:=' 键盘钩子没有设置'; end; procedure TForm1.bReadKeysClick(Sender: TObject); // 取得击键的历史记录 var i:Integer; begin Memo1.Lines.Clear; // 在Memo1中显示击键历史记录 for i:=0 to GetKeyCount-1 do Memo1.Text:=Memo1.Text+GetKey(i); end; procedure TForm1.bClearKeysClick(Sender: TObject); // 清除击键历史记录 begin Memo1.Clear; ClearKeyString; end; end. // 源代码结束 三、 Windows95下DLL中实现共享内存 在上面的钩子函数所在的DLL文件中，需要使用共享内存，即，所有击键的记录存储在同一个数据段中。为什么要这样做呢？这是因为Windows95的DLL调用方法与Windows3.X的方法不同。每个进（线）程在登录某动态连接库时都会为该动态连接库传入一个新的实例句柄（即DLL数据段的句柄）。这使得DLL各个实例之间互不干扰，但是这对那些所有DLL实例共享一组变量带来一些困难。为了解决这个问题，我们在这儿通过建立内存映射文件的方法来解决。即使用Windows的OpenFileMapping、CreateFileMapping和 MapViewOfFile三个函数来实现。使用方法如下： … MemFile是THandle类型，Shared是指针类型，HOOK_MEM_FILENAME是一常量串 … MemFile:=OpenFileMapping(FILE_MAP_WRITE False HOOK_MEM_FILENAME); //打开内存映射文件 if MemFile=0 then //打开失败则衉c2建内存映射文件 MemFile:=CreateFileMapping($FFFFFFFF nil PAGE_READWRITE 0 SizeOf(TShared) HOOK_MEM_FILENAME); //映射文件到变量 Shared:=MapViewOfFile(MemFile File_MAP_WRITE 0 0 0); 到此为止，你已经知道用Delphi编制钩子函数有多么容易。最后不得不提醒大家：钩子函数虽然功能比较强，但如果使用不当将会严重影响系统的效率，所以要尽量避免使用系统钩子。非要使用不可时也应该格外小心，应使之尽可能小地影响系统的运行。 2、http://www.delphibbs.com/delphibbs/dispq.asp?LID=130925 3、http://www.delphibbs.com/delphibbs/dispq.asp?LID=693107 unit Unit1; interface uses  Windows, Messages, SysUtils, Classes, Graphics, Controls, Forms, Dialogs,  StdCtrls,shlobj,Activex; const  SHCNE_RENAMEITEM = $1;  SHCNE_CREATE = $2;  SHCNE_DELETE = $4;  SHCNE_MKDIR = $8;  SHCNE_RMDIR = $10;  SHCNE_MEDIAINSERTED = $20;  SHCNE_MEDIAREMOVED = $40;  SHCNE_DRIVEREMOVED = $80;  SHCNE_DRIVEADD = $100;  SHCNE_NETSHARE = $200;  SHCNE_NETUNSHARE = $400;  SHCNE_ATTRIBUTES = $800;  SHCNE_UPDATEDIR = $1000;  SHCNE_UPDATEITEM = $2000;  SHCNE_SERVERDISCONNECT = $4000;  SHCNE_UPDATEIMAGE = $8000;  SHCNE_DRIVEADDGUI = $10000;  SHCNE_RENAMEFOLDER = $20000;  SHCNE_FREESPACE = $40000;  SHCNE_ASSOCCHANGED = $8000000;  SHCNE_DISKEVENTS = $2381F;  SHCNE_GLOBALEVENTS = $C0581E0;  SHCNE_ALLEVENTS = $7FFFFFFF;  SHCNE_INTERRUPT = $80000000;  SHCNF_IDLIST = 0;               //  LPITEMIDLIST  SHCNF_PATHA = $1;               // path name  SHCNF_PRINTERA = $2;            // printer friendly name  SHCNF_DWORD = $3;               // DWORD  SHCNF_PATHW = $5;               // path name  SHCNF_PRINTERW = $6;            // printer friendly name  SHCNF_TYPE = $FF;  SHCNF_FLUSH = $1000;  SHCNF_FLUSHNOWAIT = $2000;  SHCNF_PATH = SHCNF_PATHW;  SHCNF_PRINTER = SHCNF_PRINTERW;  WM_SHNOTIFY = $401;  NOERROR = 0; type  TForm1 = class(TForm)    Button1: TButton;    Memo1: TMemo;    procedure FormClose(Sender: TObject; var Action: TCloseAction);    procedure Button1Click(Sender: TObject);    procedure FormCreate(Sender: TObject);  private    { Private declarations }    procedure WMShellReg(var Message:TMessage);message WM_SHNOTIFY;  public    { Public declarations }  end; type PSHNOTIFYSTRUCT=^SHNOTIFYSTRUCT;  SHNOTIFYSTRUCT = record    dwItem1 : PItemIDList;    dwItem2 : PItemIDList;  end; Type PSHFileInfoByte=^SHFileInfoByte;  _SHFileInfoByte = record    hIcon :Integer;    iIcon :Integer;    dwAttributes : Integer;    szDisplayName : array [0..259] of char;    szTypeName : array [0..79] of char;  end;  SHFileInfoByte=_SHFileInfoByte; Type PIDLSTRUCT = ^IDLSTRUCT;  _IDLSTRUCT = record    pidl : PItemIDList;    bWatchSubFolders : Integer;  end;  IDLSTRUCT =_IDLSTRUCT; function SHNotify_Register(hWnd : Integer) : Bool; function SHNotify_UnRegister:Bool; function SHEventName(strPath1,strPath2:string;lParam:Integer):string; Function SHChangeNotifyDeregister(hNotify:integer):integer;stdcall;         external 'Shell32.dll' index 4; Function SHChangeNotifyRegister(hWnd,uFlags,dwEventID,uMSG,cItems:LongWord;         lpps

IDLSTRUCT):integer;stdcall;external 'Shell32.dll' index 2; Function SHGetFileInfoPidl(pidl : PItemIDList;         dwFileAttributes : Integer;         psfib : PSHFILEINFOBYTE;         cbFileInfo : Integer;         uFlags : Integer):Integer;stdcall;         external 'Shell32.dll' name 'SHGetFileInfoA'; var  Form1: TForm1;  m_hSHNotify:Integer;  m_pidlDesktop : PItemIDList; implementation {$R *.DFM} function SHEventName(strPath1,strPath2:string;lParam:Integer):string; var  sEvent:String; begin  case lParam of        file://根据参数设置提示消息    SHCNE_RENAMEITEM: sEvent := '重命名文件'+strPath1+'为'+strpath2;    SHCNE_CREATE: sEvent := '建立文件文件名：'+strPath1;    SHCNE_DELETE: sEvent := '删除文件文件名：'+strPath1;    SHCNE_MKDIR: sEvent := '新建目录目录名：'+strPath1;    SHCNE_RMDIR: sEvent := '删除目录目录名：'+strPath1;    SHCNE_MEDIAINSERTED: sEvent := strPath1+'中插入可移动存储介质';    SHCNE_MEDIAREMOVED: sEvent := strPath1+'中移去可移动存储介质'+strPath1+' '+strpath2;    SHCNE_DRIVEREMOVED: sEvent := '移去驱动器'+strPath1;    SHCNE_DRIVEADD: sEvent := '添加驱动器'+strPath1;    SHCNE_NETSHARE: sEvent := '改变目录'+strPath1+'的共享属性';    SHCNE_ATTRIBUTES: sEvent := '改变文件目录属性文件名'+strPath1;    SHCNE_UPDATEDIR: sEvent := '更新目录'+strPath1;    SHCNE_UPDATEITEM: sEvent := '更新文件文件名：'+strPath1;    SHCNE_SERVERDISCONNECT: sEvent := '断开与服务器的连接'+strPath1+' '+strpath2;    SHCNE_UPDATEIMAGE: sEvent := 'SHCNE_UPDATEIMAGE';    SHCNE_DRIVEADDGUI: sEvent := 'SHCNE_DRIVEADDGUI';    SHCNE_RENAMEFOLDER: sEvent := '重命名文件夹'+strPath1+'为'+strpath2;    SHCNE_FREESPACE: sEvent := '磁盘空间大小改变';    SHCNE_ASSOCCHANGED: sEvent := '改变文件关联';  else    sEvent:='未知操作'+IntToStr(lParam);  end;  Result:=sEvent; end; function SHNotify_Register(hWnd : Integer) : Bool; var  ps

IDLSTRUCT; begin  {$R-}  Result:=False;  If m_hSHNotify = 0 then begin    file://获取桌面文件夹的Pidl    if SHGetSpecialFolderLocation(0, CSIDL_DESKTOP,        m_pidlDesktop)<> NOERROR then        Form1.close;    if Boolean(m_pidlDesktop) then begin      ps.bWatchSubFolders := 1;      ps.pidl := m_pidlDesktop;      // 利用SHChangeNotifyRegister函数注册系统消息处理      m_hSHNotify := SHChangeNotifyRegister(hWnd, (SHCNF_TYPE Or SHCNF_IDLIST),                                          (SHCNE_ALLEVENTS Or SHCNE_INTERRUPT),                                          WM_SHNOTIFY, 1, ps);      Result := Boolean(m_hSHNotify);    end    Else      // 如果出现错误就使用 CoTaskMemFree函数来释放句柄      CoTaskMemFree(m_pidlDesktop);  End;  {$R+} end; function SHNotify_UnRegister:Bool; begin  Result:=False;  If Boolean(m_hSHNotify) Then    file://取消系统消息监视，同时释放桌面的Pidl    If Boolean(SHChangeNotifyDeregister(m_hSHNotify)) Then begin      {$R-}      m_hSHNotify := 0;      CoTaskMemFree(m_pidlDesktop);      Result := True;      {$R-}    End; end; procedure TForm1.WMShellReg(var Message:TMessage);      file://系统消息处理函数 var  strPath1,strPath2:String;  charPath:array[0..259]of char;  pidlItem

SHNOTIFYSTRUCT; begin  pidlItem:=PSHNOTIFYSTRUCT(Message.wParam);  file://获得系统消息相关得路径  SHGetPathFromIDList(pidlItem.dwItem1,charPath);  strPath1:=charPath;  SHGetPathFromIDList(pidlItem.dwItem2,charPath);  strPath2:=charPath;  Memo1.Lines.Add(SHEvEntName(strPath1,strPath2,Message.lParam)+chr(13)+chr(10)); end; procedure TForm1.FormClose(Sender: TObject; var Action: TCloseAction); begin  file://在程序退出的同时删除监视  if Boolean(m_pidlDesktop) then    SHNotify_Unregister; end; procedure TForm1.Button1Click(Sender: TObject); file://Button1的Click消息 begin  m_hSHNotify:=0;  if SHNotify_Register(Form1.Handle) then begin file://注册Shell监视    ShowMessage('Shell监视程序成功注册');    Button1.Enabled := False;  end  else    ShowMessage('Shell监视程序注册失败'); end; procedure TForm1.FormCreate(Sender: TObject); begin  Button1.Caption := '打开监视'; end; end. －－－－－－－－－－－－－－－－－－－－－－－－－以上信息摘自网络

tuorx · 2005-12-09

多人接受答案了。

关于程序运行过程中数据文件读取的控制 ( 积分: 100 )

tuorx

Unregistered / Unconfirmed

tuorx

Unregistered / Unconfirmed

kk2000

Unregistered / Unconfirmed

smokingroom

Unregistered / Unconfirmed

tuorx

Unregistered / Unconfirmed

chenybin

Unregistered / Unconfirmed

tuorx

Unregistered / Unconfirmed

Similar threads